跳到主要内容
VexaroSecurity
移动应用渗透测试

移动应用渗透测试

我们像攻击者那样测试您的 iOS 与 Android 应用：静态与动态分析、用运行时插桩绕过客户端控制，并测试应用所依赖的后端 API。覆盖范围对照 OWASP Mobile Application Security 项目确定。

范围

我们测试什么

范围以 OWASP MASVS v2.1.0 及其八个控制组（Storage、Crypto、Auth、Network、Platform、Code、Resilience 与 Privacy）为基础，并依据 OWASP MASTG 进行测试。移动应用是建立在服务端 API 之上的瘦客户端，因此后端同样在测试范围之内。

通常范围
  • 不安全的本地存储与薄弱的加密（MASVS-STORAGE / -CRYPTO）
  • 认证、会话处理与网络/TLS 校验（MASVS-AUTH / -NETWORK）
  • 平台交互：导出组件、深层链接、IPC 与 WebView（MASVS-PLATFORM）
  • 代码质量、硬编码密钥与不安全的构建设置（MASVS-CODE）
  • 韧性：root/越狱检测、证明与防篡改（MASVS-RESILIENCE）
  • 隐私控制与应用所依赖的后端 API（MASVS-PRIVACY）
我们如何工作

静态 + 动态，辅以插桩

我们将静态分析（反编译、人工与自动代码审查）与动态测试（运行时、TLS 拦截、证书绑定检查）相结合。客户端控制在设计上就可以被绕过，因此原则是服务端绝不应信任客户端。如果证书绑定无法被绕过，这本身就是一项韧性方面的发现。

  1. 1

    准备

    我们就范围（应用、版本、账户、MAS 依据）与测试环境达成一致，并签署保密协议。

  2. 2

    情报搜集

    我们对应用、其平台集成及其后端进行剖析，以规划静态与动态测试的覆盖范围。

  3. 3

    测绘

    我们对照 MASVS 控制组，对组件、深层链接、IPC、存储与 API 调用进行测绘。

  4. 4

    利用

    静态审查外加运行时插桩（Frida/Objection），以攻破客户端控制、触达逻辑与流量。

  5. 5

    报告与免费复测

    您将获得一份按优先级排序的报告；我们会在 SoW 约定的时间窗口内对已修复的问题进行免费复测。

交付物

您将获得

与我们的示例报告同等的交付深度，每项发现均对照 MAS 标准映射，使覆盖范围可供审核。

您将获得
  • 执行摘要与整体风险态势
  • 每项发现：描述、影响、证据、复现步骤与整改方案
  • 涵盖应用、版本、API、账户与 MAS 依据的范围说明
  • 以 CVSS 3.1 评定严重等级，并转化为业务风险
  • 引用 MASVS 控制组、MASTG 测试与 CWE
  • 在 SoW 约定的时间窗口内对已整改问题的免费复测；可选附 CycloneDX SBOM
方法论与标准

立足于 OWASP MASVS 与 MASTG

OWASP MASVS v2.1.0OWASP MASTGMAS Testing ProfilesCVSS 3.1CWECycloneDX SBOM

覆盖范围对照 OWASP MASVS v2.1.0（八个控制组，含 2.1.0 新增的 Privacy 组）编制，并依据 OWASP MASTG 进行测试，以 MAS Testing Profiles 界定范围。发现以 CVSS 3.1 评分。

测试您的移动应用.

向我们介绍该应用、目标平台及您的目标。我们将界定项目范围，与您共同商定规则，并在保密协议下交付报告。首次咨询免费。